Automatisches Rotieren von Passwörtern für Benutzer

Einen inaktiven Benutzer erstellen

Für Linux, macOS oder Unix:

aws elasticache create-user \
 --user-id user1 \
 --user-name user1 \
 --engine "REDIS" \
 --no-password \ // no authentication is required
 --access-string "*off* +get ~keys*" // this disables the user 

Für Windows:

aws elasticache create-user ^
 --user-id user1 ^
 --user-name user1 ^
 --engine "REDIS" ^
 --no-password ^ // no authentication is required
 --access-string "*off* +get ~keys*" // this disables the user 

Es wird eine Antwort ähnlich dem folgenden Beispiel angezeigt:

{
    "UserId": "user1",
    "UserName": "user1",
    "Status": "active",
    "Engine": "redis",
    "AccessString": "off ~keys* -@all +get",
    "UserGroupIds": [],
    "Authentication": {
        "Type": "no_password"
    },
    "ARN": "arn:aws:elasticache:us-east-1:xxxxxxxxxx918:user:user1"
}

Erstellen eines -Secrets

Für Linux, macOS oder Unix:

aws secretsmanager create-secret \
--name production/ec/user1 \
--secret-string \
'{
   "user_arn": "arn:aws:elasticache:us-east-1:123456xxxx:user:user1", 
    "username":"user1"
 }'

Für Windows:

aws secretsmanager create-secret ^
--name production/ec/user1 ^
--secret-string ^
'{
   "user_arn": "arn:aws:elasticache:us-east-1:123456xxxx:user:user1", 
    "username":"user1"
 }'

Es wird eine Antwort ähnlich dem folgenden Beispiel angezeigt:

{
 "ARN": "arn:aws:secretsmanager:us-east-1:123456xxxx:secret:production/ec/user1-eaFois",
 "Name": "production/ec/user1",
 "VersionId": "aae5b963-1e6b-4250-91c6-ebd6c47d0d95"
}

Eine Lambda-Funktion zur Rotation Ihres Passworts konfigurieren

1. Melden Sie sich bei der an AWS Management Console und öffnen Sie die Lambda-Konsole unter https://console.aws.amazon.com/lambda/

2. Wählen Sie im Navigationsbereich Functions (Funktionen) und dann die erstellte Funktion aus. Wählen Sie den Funktionsnamen aus, nicht das Kontrollkästchen links davon.

3. Wählen Sie die Registerkarte Konfiguration aus.

4. Wählen Sie unter General configuration (Allgemeine Konfiguration) die Option Edit (Bearbeiten) aus und legen Sie die Timeout (Zeitüberschreitung) anschließend auf mindestens 12 Minuten fest.

5. Wählen Sie Save (Speichern) aus.

6. Wählen Sie Environment variables (Umgebungsvariablen) aus und legen Sie dann Folgendes fest:

   1. SECRETS_ MANAGER _ ENDPOINT — https://secretsmanager. REGION.amazonaws.com

   2. SECRET_ ARN — Der Amazon-Ressourcenname (ARN) des Geheimnisses, das Sie in Schritt 2 erstellt haben.

   3. USER_ NAME — Nutzername des ElastiCache Benutzers,

   4. Wählen Sie Save (Speichern) aus.

7. Wählen Sie Permissions (Berechtigungen) aus.

8. Wählen Sie unter Ausführungsrolle den Namen der Lambda-Funktionsrolle aus, die auf der IAM Konsole angezeigt werden soll.

9. Die Lambda-Funktion benötigt die folgende Berechtigung, um die Benutzer zu ändern und das Passwort festzulegen:

   ElastiCache

   {
       "Version": "2012-10-17",
       "Statement": [
           {
           "Effect": "Allow",
           "Action": [
               "elasticache:DescribeUsers",
               "elasticache:ModifyUser"
           ],
           "Resource": "arn:aws:elasticache:us-east-1:xxxxxxxxxx918:user:user1"
           }
       ]
   }

   Secrets Manager

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "secretsmanager:GetSecretValue",
                   "secretsmanager:DescribeSecret",
                   "secretsmanager:PutSecretValue",
                   "secretsmanager:UpdateSecretVersionStage"
               ],
               "Resource": "arn:aws:secretsmanager:us-east-1:xxxxxxxxxxx:secret:XXXX"
           },
           {
               "Effect": "Allow",
               "Action": "secretsmanager:GetRandomPassword",
               "Resource": "*"
           }
       ]
   }

Die Secrets-Manager-Rotation einrichten

1. Verwenden von AWS Management Console, siehe Automatische Rotation für AWS Secrets Manager Manager-Geheimnisse mithilfe der Konsole einrichten

   Weitere Informationen zum Einrichten eines Rotationszeitplans finden Sie unter Zeitplanausdrücke in Secrets-Manager-Rotation.

2. Verwenden von AWS CLI, siehe Automatische Rotation einrichten für die AWS Secrets Manager Verwendung von AWS Command Line Interface